La mayor parte de la conversación actual sobre la IA y el empleo gira en torno a la capa visible: quién escribe el código, quién da instrucciones al modelo, quién pierde su puesto cuando un chatbot puede hacer el primer borrador. Oculta en las noticias de esta semana hay una historia sobre una capa que nadie en esa conversación está observando, y merece tu atención precisamente porque casi nadie compite por las habilidades que recompensa.

Un fallo que lleva ahí desde 2013

Esta semana, investigadores de seguridad detallaron cómo miles de servidores conectados a internet de grandes fabricantes pueden recibir puertas traseras de forma remota a través de sus controladores de gestión de placa base, o BMC: pequeñas computadoras independientes integradas en prácticamente todas las placas base de servidores empresariales, con su propio sistema operativo, pila de red y dirección IP, independientes de lo que ocurra en la máquina principal (Ars Technica). Los BMC son lo que permite al personal de TI reiniciar, volver a crear la imagen o supervisar un servidor de forma remota incluso cuando está apagado o completamente bloqueado: una gestión «lights out» realmente útil. El inconveniente, según los investigadores, es que el protocolo subyacente está señalado como un objetivo fácil desde al menos 2013, y algunas de las vulnerabilidades que ahora se están explotando tienen más de una década. Ars lo describe como una «superficie de ataque paralela, generalizada, poco supervisada y con pocos parches»: no es un agujero nuevo, sino uno antiguo que se ha ignorado discretamente porque se encuentra por debajo de donde se concentra la mayor parte de la atención sobre el software y la seguridad.

La programación agéntica está a punto de hacer más de esto, y más rápido

Esa misma semana, Meta lanzó Muse Code, un agente de programación basado en terminal que se suma a Claude Code, Codex y un campo en rápida expansión de herramientas que escriben y ponen en producción software con una intervención humana mínima (TechCrunch). La propia descripción de Zuckerberg resulta reveladora: ante un trabajo lo bastante grande, se divide en múltiples subagentes que trabajan en paralelo, en árboles de trabajo aislados, y construyen varias funciones simultáneamente. Es una ganancia real de productividad. También significa, estructuralmente, que se pone en marcha, configura y despliega más infraestructura por unidad de atención humana que en cualquier momento anterior: más instancias en la nube, más entornos de prueba y más servidores aprovisionados rápidamente por personas que quizá nunca toquen una configuración de BMC ni lean un registro de cambios del firmware. Las herramientas agénticas son muy buenas escribiendo la aplicación. No tienen opinión sobre si el chip de gestión fuera de banda que se encuentra debajo de esa aplicación funciona con un firmware de hace seis años.

Nada de esto significa que las herramientas de programación agéntica sean inseguras por diseño; esa es una cuestión distinta de la que plantea el artículo de Ars Technica. El punto es más concreto: el volumen de infraestructura que se está creando crece más rápido que la disciplina poco glamurosa de aplicar parches a la capa física que la sustenta, y esa brecha no se cierra por sí sola simplemente porque el código de la parte superior se haya vuelto más inteligente.

Por qué esto es una señal profesional, no solo una historia de seguridad

Si se contrasta esto con los despidos que aún siguen afectando al sector —la reducción de aproximadamente el 20 % de la plantilla de Monday.com esta semana, vinculada explícitamente a una reestructuración impulsada por la IA, se suma a una lista cada vez mayor de empresas que citan la IA en sus recortes de empleo (TechCrunch)—, conviene ser honestos sobre lo que no sabemos: ninguno de estos informes desglosa los despidos por función, así que no hay datos claros que indiquen que «los puestos de seguridad e infraestructura están a salvo». Afirmarlo sería exagerar. Lo que puede decirse con más confianza es estructural, no estadístico: los puestos que se automatizan más rápido son aquellos cuyo producto de trabajo es texto, código o una interacción con el cliente que un LLM puede aproximar. La seguridad física y a nivel de firmware —saber qué es un BMC, cómo funcionan IPMI y sus sucesores, cómo auditar el acceso a la gestión fuera de banda, cómo distribuir un parche de firmware por toda una flota sin dejar inutilizada la mitad— está más cerca de la máquina que del modelo. No es una tarea que los agentes de IA actuales estén buscando claramente, y no resulta más fácil de automatizar solo porque la capa de software que tiene por encima sí lo sea.

Qué hacer realmente con esto

No necesitas convertirte en ingeniero de firmware para actuar en consecuencia. Algunas medidas que puedes comprobar:

  • Pregunta, no des por sentado. Si trabajas en TI, plataformas o seguridad en una empresa que opera sus propios servidores (no exclusivamente en la nube), pregunta si el firmware de los BMC sigue algún ciclo de aplicación de parches. Muchas organizaciones realmente no conocen la respuesta.
  • Aprende el vocabulario, no solo el titular. BMC, IPMI, Redfish, gestión fuera de banda: son conceptos fáciles de buscar y bien documentados, y comprenderlos te sitúa por delante de la mayoría de las personas cuyo desarrollo de habilidades en la era de la IA se ha orientado por completo a las instrucciones y los agentes.
  • Observa qué no cubren las herramientas de programación agéntica. A medida que tú o tu equipo adopten herramientas como Muse Code o Claude Code para trabajos relacionados con la infraestructura, pregunta explícitamente qué queda fuera del alcance —objetivos de despliegue, firmware, controles de acceso físico— y considera esa brecha un lugar donde desarrollar experiencia, en vez de un descuido que ignorar.
  • No exageres el giro. Este es un nicho plausible entre varios, no un refugio seguro garantizado. Tómalo como una cobertura que merece la pena investigar, no como un cambio de carrera que debas hacer basándote en una sola historia de Ars Technica.

La lección más amplia se extiende más allá de los BMC en concreto: a medida que la IA mejora en el software que la gente puede ver, el valor más difícil de automatizar se encuentra cada vez más en las capas físicas y operativas que hay debajo: las partes que no aparecen en una demostración. Es una apuesta más específica que «aprende a dar instrucciones», pero actualmente son menos las personas que la están haciendo.